ANPD regulamenta atuação do DPO

Desde a publicação da Lei Geral de Proteção de Dados, em 2018, havia muita expectativa quanto à regulamentação da atuação do Encarregado pelo Tratamento de Dados (o famoso “DPO”). A norma foi finalmente publicada no mês de julho de 2024 pela Autoridade Nacional de Proteção de Dados – ANPD (Resolução CD/ANPD nº 18, de 16 de julho de 2024), trazendo pontos muito importantes sobre a designação do encarregado, seus deveres e atribuições legais, e sobre conflitos de interesses.

Inicialmente, devemos recordar que a nomeação de um DPO somente não é obrigatória para microempresas, empresas de pequeno porte e startups – os chamados “agentes de tratamento de pequeno porte”. Porém, caso a empresa desenvolva atividades de alto risco para dados pessoais (com o uso intensivo de dados, tratamento de dados que possa afetar direitos fundamentais, ou por meio de tecnologias emergentes ou inovadoras – caso da Inteligência Artificial, por exemplo), deverá nomear DPO ainda que seja considerada um agente de pequeno porte – e isso somente pode ser descoberto mediante um assessment realizado por uma consultoria jurídica especializada.

Para as empresas obrigadas a nomear um Encarregado, existem diversos cuidados que precisarão ser observados a fim de cumprir as novas regras editadas pela ANPD. O primeiro desses cuidados diz respeito à própria forma como o DPO é nomeado. Pela nova sistemática, é obrigatório que a nomeação seja realizada por meio de um documento escrito, datado e assinado – documento que deverá ser apresentado à ANPD caso haja solicitação nesse sentido. Essas formalidades também deverão ser observadas na indicação do substituto que atuará nas ausências do DPO (como férias ou afastamentos por questões de saúde). A recomendação da ANPD é de que esse “ato formal” seja, por exemplo, um contrato de prestação de serviços (caso o DPO seja externo à organização), mas também pode ser feito mediante aditivo ao contrato de trabalho caso o Encarregado seja um empregado que atua pelo regime da CLT.

Além disso, a empresa deverá “estabelecer as qualificações profissionais necessárias para o desempenho das atribuições do encarregado”, o que também se recomenda que seja feita por meio de ato formal (como uma política interna), garantindo assim que seja nomeada uma pessoa com conhecimentos adequados sobre proteção de dados pessoais e segurança da informação.

Um ponto muito importante da nova regulamentação, aliás, é o que autoriza que o DPO seja tanto pessoa física (podendo fazer parte do quadro de funcionários da empresa, ou externo a ela) quanto pessoa jurídica, encerrando uma dúvida com relação à atuação de empresas especializadas em DPO as a Service.

Independentemente da natureza jurídica do DPO, a regra exige que sua identidade e suas informações de contato sejam divulgadas adequadamente (preferencialmente no site da empresa), com a indicação do nome completo (se pessoa física) ou nome empresarial e nome da pessoa física responsável (no caso de pessoa jurídica); além de informações mínimas de contato (como e-mail e telefone), que permitam o recebimento de comunicações de titulares ou da ANPD.

Com relação às atividades do DPO, a norma traz uma série de novas atribuições, notadamente para prestar assistência e orientação à liderança da empresa sobre:

I - registro e comunicação de incidente de segurança;

II - registro das operações de tratamento de dados pessoais;

III - relatório de impacto à proteção de dados pessoais;

IV - mecanismos internos de supervisão e de mitigação de riscos relativos ao tratamento de dados pessoais;

V - medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

VI - processos e políticas internas que assegurem o cumprimento da Lei nº 13.709, de 14 de agosto de 2018, e dos regulamentos e orientações da ANPD;

VII - instrumentos contratuais que disciplinem questões relacionadas ao tratamento de dados pessoais;

VIII - transferências internacionais de dados;

IX - regras de boas práticas e de governança e de programa de governança em privacidade, nos termos do art. 50 da Lei nº 13.709, de 14 de agosto de 2018;

X - produtos e serviços que adotem padrões de design compatíveis com os princípios previstos na LGPD, incluindo a privacidade por padrão e a limitação da coleta de dados pessoais ao mínimo necessário para a realização de suas finalidades; e

XI - outras atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais.

Verifica-se que houve uma grande ampliação nas responsabilidades do DPO, de modo que a escolha deve necessariamente recair sobre um profissional capacitado, não mais sendo possível a prática comum de nomear um colaborador interno “por simples formalidade”. Assim, torna-se ainda mais interessante que as empresas avaliem a contratação de um DPO externo, especialmente quando não há em seu próprio quadro de funcionários um empregado com a qualificação ou disponibilidade para o exercício das tarefas do Encarregado.

A disponibilidade, aliás, é outro fator importante para ser analisado quando da nomeação do DPO. As novas regras exigem que o Encarregado deverá evitar quaisquer conflitos de interesses, que podem surgir quando exerce outras funções internamente na empresa, ou quando acumula funções de Encarregado com aquelas relacionadas com decisões estratégicas dentro da organização.

Por isso, é sempre recomendável que o DPO possa dedicar-se exclusivamente às atividades relacionadas a proteção de dados pessoais (especialmente quando há um grande volume de dados pessoais tratados pela empresa), a fim de reduzir ao máximo o risco de conflitos de interesses – o que poderá levar a aplicação de multas ou outras penalidades à empresa, caso seja detectado pela ANPD.

Finalmente, é sempre importante ressaltar que, ainda que haja a nomeação de um DPO, quem é responsável pelo tratamento e proteção dos dados pessoais é a empresa, ou seja: em caso de falhas na atuação do DPO, é a organização – e não a pessoa nomeada – que responderá por multas ou indenizações decorrentes do mau uso de dados pessoais. Assim, a escolha do Encarregado deve ser realizada com muito cuidado, e preferencialmente com o apoio jurídico necessário para garantir que aconteça em conformidade com a LGPD e com as regras da ANPD.